Guten Morgen,
da hätte ich dann aber nochmal eine Rückfrage.
Gab es Ende letzten Jahres/Anfang diesen Jahres eine Störung beim DDoS Filter?
Wie beschrieben, habe ich im oben genannten Zeitraum einige DDoS Angriffe abbekommen, die laut Benachrichtigungsmail definitiv unter den 5 GBit/s lagen und auch maximal ca. 72000 Pakete die Sekunde sendeten. Der Support konnte mir darauf keine zufriedenstellende Antwort geben.
Display MoreGuten Morgen @MR.CLEAN,
ich habe Ihren Beitrag zum Anlass genommen, um mir einmal die von uns mitigierten Angriffe anzusehen, die Ihren Root-Server betroffen haben. Hier finde ich gar keine Hinweise auf ein Nullrouting.
Wir haben einmal für Sie 655.99 MBit/s erfolgreich mitigiert, ein anderes Mal 338.94 MBit/s. Es gab dabei kein Nullrouting.
Liegt hier ein Missverständnis vor?
Die 5 GBit/s stehen je Server zur Verfügung. Diese müssen sich nicht mehrere Kunden untereinander teilen. Mittlerweile filtern wir sogar bis zu 1 TBit/s. Dieser verbesserte Filter wird zeitnah auf unserer neuen Website beworben werden.
Mit freundlichen Grüßen
Felix Preuß
Guten Morgen, bzw. jetzt gerade Abend [netcup] Felix P.,
ich besitze alle E-Mails von den Attacken.
Meine User haben wirklich bei jeder Attacke gemeldet, dass man kaum meinen Server pingen kann.
Bzw IP ist null.
Evtl kann es sein, dass Netcup's Filter einige Attacken erfolgreich mitigiert hat und meine IP nicht genulled wurde. Aber ich habe keine E-Mail bekommen, wo der Server trotzdem noch pingbar war.
Wie funktioniert eigentlich Netcup's DDOS-Filter ?
Ich hab's zwar mir hier durchgelesen und ich verstehe es auch, aber "wieso" wird schon bei 338.94 MBit/s auf null gerouted als die versprochenen 5000 MBit/s ?
Kann man denn als Kunde überhaupt was bei Netcup machen für einen besseren Schutz gegen Angriffe, außer wie vom Support die Firewall "besser" einstellen ?
Verstehen Sie das nicht als Beschwerde, ich will nur Informationen sammeln und darauf hinweisen, dass der Filter ein wenig Probleme hat 
Wen man deinen Server "kaum" pingen kann, dann ist er nicht auf Null geroutet. Müsste man mal analysieren, welche Art von Angriff es überhaupt war.Was für einen Server hast du denn? Anderswo muss ich lesen, dass da der Filter überhaupt erst bei 300.000 Paketen/Sekunde anspringt, weil kleinere Mengen "für den Server kein Problem" seien.
Die Firewall sollte halt so eingestellt sein, dass nur die wirklich benötigten Ports geöffnet sind und alles andere geblockt wird. Am schnellsten ist immer noch das Paket abgearbeitet, das (außer von der Firewall) gar nicht bearbeitet, sondern gleich ins Datennirwana entsorgt wird.
Ich meine irgendwo im Forum schonmal gelesen zu haben, dass in der Mail ein über ein paar Minuten gemittelter Wert angegeben ist, aber kurzeitig dann doch eventuell die 5GBit/s überschritten sein könnten, was zum Null Routing führt.
Edit: könnte das hier gewesen sein: https://forum.netcup.de/netcup…e-ddos-attacke/#post87421
Wen man deinen Server "kaum" pingen kann, dann ist er nicht auf Null geroutet. Müsste man mal analysieren, welche Art von Angriff es überhaupt war.Was für einen Server hast du denn? Anderswo muss ich lesen, dass da der Filter überhaupt erst bei 300.000 Paketen/Sekunde anspringt, weil kleinere Mengen "für den Server kein Problem" seien.
Die Firewall sollte halt so eingestellt sein, dass nur die wirklich benötigten Ports geöffnet sind und alles andere geblockt wird. Am schnellsten ist immer noch das Paket abgearbeitet, das (außer von der Firewall) gar nicht bearbeitet, sondern gleich ins Datennirwana entsorgt wird.
Sorry ich meine garnicht pingen.
Nen Root Server vom Sonderangebot
Guten Morgen,
können Sie bitte kurz die Mail hier veröffentlichen in der von einem Null-Routing gesprochen wird?
Ich befürchte das ich im falschen Kundenaccount nachschaue.
Vielen Dank!
Mit freundlichen Grüßen
Felix Preuß
Display MoreGuten Tag,
bei allen E-Mails steht halt immer "Aktivierung DDoS-Filter Server v22019057893989734" und dass mein Server auf den kostenlosen DDoS-Filter gerouted wird.
Ich denke mir: "Okay! Gut, dann werden ja alle bösen Pakete gefiltert." Aber wirklich exakt 5 Minuten jedes mal habe ich 100% paket lost, beim Pingen während des Angriffes.
Niemand kann mehr zu diesen 5 Minuten auf die Website, Spiele-Server oder sonst was.
Kann es evtl sein, dass dies ein Systemfehler ist ?
Ich würde einfach darauf Tippen, dass der DDoS-Filter erstmal den Datenverkehr analysieren muss um zu lernen, was er genau blocken muss.
Sprich: Du bekommst den DDoS-Angriff für 5 Minuten in vollen Umfang ab, bis der DDoS-Filter seine gewünschte Wirkung erzielt.
Ich würde einfach darauf Tippen, dass der DDoS-Filter erstmal den Datenverkehr analysieren muss um zu lernen, was er genau blocken muss.
Sprich: Du bekommst den DDoS-Angriff für 5 Minuten in vollen Umfang ab, bis der DDoS-Filter seine gewünschte Wirkung erzielt.
Würde das so sein, dann wäre das kein effizienter Weg. Die User Anzahl sinkt dadurch und die Leute, die mich attackieren, die freuen sich.
Auf keinen Fall provoziere ich diese ganzen Angriffe. Diese Leute(Angreifer) sind auf mein Netzwerk eifersüchtig und wollen, dass ich viele User in kürzester Zeit verliere, sobald die sehen, dass mal mehr als gewohnt online sind.
Guten Morgen,
in dem Fall gab es kein Nullrouting, wie zunächst hier geschrieben wurde. Schön das wir dieses klarstellen konnten.
Ich vermute das hier eine Anwendung betroffen ist, die via UDP Daten austauscht. Mit UDP lassen sich Angriffe so fahren, dass sie im ungünstigen Fall nicht gefiltert werden können. So lässt sich z.B. jedes eintreffende Paket mit einem anderen Absender versehen. Daraus das Muster abzuleiten ist nicht immer möglich und damit kann nicht sauber gefiltert werden. Kein DDoS-Filter kann das. Ich empfehle Ihnen nur Anwendungen zu nutzen die via TCP kommunizieren, wenn Sie von Angriffen auf Basis von UDP betroffen sind.
Mit freundlichen Grüßen
Felix Preuß
Sind denn die nicht benötigten Ports alle in der Firewall geblockt?
Sind denn die nicht benötigten Ports alle in der Firewall geblockt?
Ich habe Linux Debian 9 aufgesetzt und viel konfiguriert, um dort ein Spiele Netzwerk zu betreiben.
Ich habe zwar ein bisschen an der Firewall rum geschraubt, jedoch nicht so, dass nur die nötigen Ports zugelassen sind.
Soll ich jetzt meine Firewall so einstellen, dass nur die nötigen Ports erlaubt sind ?
Was ist mit Putty, VNC, SSH, apt-get usw ?
Ich habe zwar ein bisschen an der Firewall rum geschraubt, jedoch nicht so, dass nur die nötigen Ports zugelassen sind.
Was macht denn deine Firewall sonst?
Soll ich jetzt meine Firewall so einstellen, dass nur die nötigen Ports erlaubt sind ?
Im Idealfall schon.
Was macht denn deine Firewall sonst?
Im Idealfall schon.
Ich hatte mal was dort gemacht, dass zu viele Pings, die ip sperren, aber ich habs wieder raus gemacht.
Sonst ist halt auf Standard.
Ich könnte es versuchen, aber irgendwie habe ich etwas Angst, dass ich dann kaum noch mein Server erreichen kann.
Komplett ausperren kannst du dich nicht über die Firewall. Du hast ja immernoch die Konsole im SCP und das Rettungssystem. Wenn du zum Beispiel iptables verwendest und die Regel nicht persistent machst ist die eh beim nächsten Neustart weg
